工联网消息(IItime) 2021年11月26日，国务院发布《关于修改〈中华人民共和国烟草专卖法实施条例〉的决定》，增加了第六十五条，即“电子烟等新型烟草制品参照本条例卷烟的有关规定执行”，将电子烟正式纳入专卖和国家监管范围。至此，对电子烟的危害以及是否需要监管的诸多讨论，终于形成定论。

但如何落实这一政策，产业界、学术界、市场监管部门都在积极探索各种途径。本文探讨了电子烟监管体系构建问题，提出了基于网络和密码技术的电子烟监管体系架构，包括云平台监管、生产过程监管、经销渠道监管等全过程。

电子烟监管体系应自上而下由政府统一构建

监管本身就是政府的职能，但电子烟的监管是一个复杂的体系化过程，既需要以国家政策法规为依据，也需要若干细化的标准方可执行。电子烟统一监管体系如图1所示。

图1 电子烟统一监管体系

《关于修改〈中华人民共和国烟草专卖法实施条例〉的决定》的颁布，使电子烟监管具备了政策依据。但如何落实，还缺乏诸多支撑。仅制度与标准一项，就涉及电子烟生产标准、电子烟销售资质管理制度、电子烟税收制度、电子烟市场监管制度等。这显然不是单一职能部门就能完成的，需要多个政府部门协作，诸如工信部及所属国家烟草专卖局、国家市场监督管理总局、国家税务总局等。而多部门的协作又需要国家层面的统一协调和管理，共同构建一个统一的监管体系。

电子烟的监管应充分利用网络和密码技术

电子烟监管的总体技术架构

电子烟的监管需要对电子烟的生产、流通、使用等全生命周期各环节进行统一的监管。商用密码技术是电子烟监管中“技防”的重要手段，在电子烟监管体系中，可按照“云、边、端”的移动物联网架构来构建其技术体系。如图2所示，电子烟监管技术体系的架构分为3部分。

图2 电子烟监管技术体系

●电子烟监管国家云平台

电子烟监管国家云平台依托现有的“烟草云”，加入电子烟监管部分，让电子烟的生产和流通两个环节既相对独立，又共享数据，形成贯通电子烟生产和经销环节的全监督环境。

●生产监督环节

在电子烟的生产环节，使用商用密码技术对生产商准入、生产配额、电子烟防伪、追溯等环节进行全程监管。

●流通监督环节

在电子烟的运输、销售、使用等环节，利用商用密码技术进行假烟防范、跨区销售、质量追溯等监管。 

电子烟监管国家云平台的建设

在电子烟监管国家云平台中，必须建立电子烟统一标识体系，并为每个电子烟具分发唯一标识。在此基础上，通过非对称密码技术，为每个电子烟具分发唯一的签名与认证私钥，而其公钥可通过证书或无证书技术进行统一管理。

经销商统一身份认证针对所有电子烟销售单位、销售人员进行管理，经销商的专用柜面机开机后，需要向电子烟监管云进行设备身份认证、上报位置、鉴权等操作；使用专用柜面机的销售人员，需要通过Ukey（密钥）、指纹、刷脸等方式进行人员身份认证和注册。

经销体系通信密码机保障电子烟经销体系中所有环节——运输、批发、零售、监察、用户等，以及在访问电子烟监管云的上报数据和获取数据过程中的通信数据保密。

通过经销体系密码管理构件，可以实现对经销体系中电子烟实体、经销商、用户的监管和追溯。

●生产商密码管理构件

生产商密码管理构件包括电子烟生产体系（CA证书体系或无证书体系）、生产单位统一身份认证和生产体系通信密码机。

生产体系（CA）用于向电子烟生产单位的生产密码机发放数字证书和端私钥，或由无证书KMC发放统一参数与端私钥。

生产单位统一身份认证用于生产单位的密码机和操作密码机人员的身份认证、位置申报及密钥操作授权。

生产体系通信密码机保障生产厂商数据上报和下传的通信加密；同时保障生产单位种子密钥的下载加密安全，并对种子密钥的时间戳、配额戳进行校验，最后对失效种子密钥的回收进行合法性验证。

通过生产体系密码管理构件，实现对生产体系中的各个单位进行监管和追溯。

●种子密钥数据库（加密）

种子密钥数据库用于保存生产电子烟的密码机的种子密钥，保护电子烟生产体系的核心数据资产。

种子密钥往往配发给电子烟生产单位，各单位基于种子密钥，通过电子烟生产密码机产生可灌装到电子烟具里的设备密钥，以及可灌装到RFID最终贴在烟盒上的一次性密钥，从而构建电子烟监管的技术基础。种子密钥数据库涉及种子密钥的生产、有效性设置、失效监管、应用监管等，应结合电子烟行业特点设计专用密码算法和协议。

●电子烟标识数据库

电子烟标识数据库用于保存电子烟产品的标识，可精确到箱、条、盒、支等不同粒度。

电子烟标识数据库保存电子烟的标识密文，由电子烟生产单位在生产过程中采集上报并写入数据库；经销商、用户、监察单位等可通过专用机具、手机APP等方式查询相关数据库，对电子烟的真伪进行验证和追溯。

通过在电子烟监管云中创建以上商用密码构件，可初步建立支持电子烟生产、流通等环节的云密码基础设施。

 通过密钥管理技术实现对生产环节的监管

生产环节最核心的密码设备是电子烟生产密码机，具备向电子烟监管云验证生产单位的身份、获取本单位种子密钥、解析种子密钥及生产产品密钥等功能。

生产密码机获取种子密钥后，根据密码算法和种子密钥中的配额戳、时间戳等信息，计算出可以灌装到单个产品中的产品密钥。生产密码机将产品密钥灌装到密码RFID或专用密码芯片中，并进行激活。生产密码机还可以将已经激活密钥的电子烟产品标识号等相关信息，加密并上报到电子烟监管云，并保存在电子烟标识数据库中，以备监察。

密码RFID贴装到不具备电源的被动验证单元（例如包装箱、烟盒、烟弹等），用于被专用监察设备读取时验证真伪；专用密码芯片嵌入到具备电源的主动验证单元（如电子烟烟具），用于专用监察设备双向认证，验证真伪；部分高端烟具还可以使用密码芯片验证烟弹的真伪。

通过生产环节的商用密码植入，实现了对生产商的准入管理、配额管理，并为电子烟产品的真伪鉴别提供了基础。

通过密码认证技术实现对经销环节的监管

经销环节是电子烟监管最重要的环节，不同于生产环节的集中化，经销环节具有很强的分散性，监管难度大。经销环节的商用密码主要用于以下3种认证。

●各类机具与电子烟监管云之间的双向认证

电子烟销售商使用内嵌密码芯片的专用机具验证电子烟真伪，汇报销售的电子烟标识，对销售点的位置进行确认，并通过数字证书向电子烟监管云进行鉴权等，确保销售网点的可监管。上述认证需要在线认证，可利用5G网络作为信道。

●机具与电子烟产品之间的单向认证

电子烟监察部门使用内嵌密码芯片的监察专用机具，对销售的电子烟进行抽查，对贴装的密码RFID或嵌入密码芯片的电子烟具进行真实性验证，辨别真伪。

电子烟经销商使用内嵌密码芯片的专用柜面机，对销售的电子烟进行检查，对贴装的密码RFID或嵌入密码芯片的电子烟具进行真实性验证，辨别真伪。

普通用户可以下载内嵌密码SDK的电子烟辨伪APP，使用手机NFC方式，通过与密码RFID或密码芯片进行单向身份认证，识别烟盒、烟具、烟弹等产品的真伪。

上述单向认证需要同时支持离线认证和在线认证，依托商用密码标识算法。

●电子烟具和烟弹之间的认证

对于部分中高端烟具和烟弹，支持烟具对烟弹的单向认证。烟具中的密码芯片带NFC接口，可对贴在烟弹上的RFID进行馈电方式密码认证，如果认证烟弹为伪造，可向烟具主人报警。该认证需要支持离线认证。

电子烟监管中需要进一步研发的商用密码产品和技术

电子烟监管技术架构包含多种商用密码产品和技术，包括已有产品和需要新研发的产品及技术。

已有产品和相关技术包括以下4类：一是电子监管云的证书CA、统一认证平台、通信加密机、存储加密机、加密数据库；二是生产环节的密码芯片、密码RFID；三是经销环节的密码SDK、密码芯片；四是已有相关专利技术。

需要新研制的产品包括以下两种：一是生产环节的电子烟生产密码机；二是流通环节的监察专用机具、经销商专用柜面机等。

需研究的相关密码协议包括以下3种。

一是种子密钥生成产品密钥。基于种子密钥，结合电子烟各类产品的标识，以及生产配额、时间戳、生产商标识等信息，由一个种子密钥生成百万量级的产品密钥。

二是分层相关密钥。电子烟的箱、条、盒、支密钥具有分层相关性。例如盒上贴装RFID中的产品密钥与盒内20只烟弹贴装RFID中的20个产品密钥相关；条包装上贴装的RFID中的产品密钥与条内10盒贴装RFID中的产品密钥相关；箱上贴装RFID中的产品密钥与箱内每一条贴装RFID中的产品密钥相关。这样就避免了电子烟外包装被回收后造伪。

三是离线认证。专用机具对电子烟具和烟弹、高端电子烟具和烟弹之间，使用离线认证方式，需要研究离线认证的算法和协议。

在电子烟监管系统中嵌入多种商业密码产品和技术，为电子烟的全生命周期监管提供了可行的技术支撑和方向。